GDOI: Açar serveri niyə məlumat yolunuzda deyil

Qrup açar serveri siyasəti və açarları üzvlərə paylayır, üzvlər isə trafiki özləri qoruyur. Bu cümlə rəsmiyyət kimi səslənir, ta ki bir dizayn nəzarətçini hər qorunan paket üçün rele kimi qəbul edənə qədər; o zaman topologiya heç vaxt ehtiyac duymadığı bir hop qazanır və trafik yolu yalnız vəziyyət paylamaq üçün nəzərdə tutulmuş cihazdan asılı olur. Açar serverinin harada yerləşdiyini və məlumatın harada axdığını söyləmək iki fərqli diaqramdır və GDOI məhz bu fərq üzərində qurulub. Bunu tərs başa düşmək kiçik modelləşdirmə xətası deyil, çünki nəyə nəzarət etdiyinizi və nəyi miqyasladığınızı dəyişir. Aşağıdakı bölmələr protokolun öz bölgüsünə əməl edir.

İki növ təhlükəsizlik vəziyyəti

RFC 6407 üzvün siyasət və açar materialı tələb etmək üçün dartma mübadiləsini və səlahiyyətli üzvlərə siyasət və açar yeniləmələri paylayan itələmə mübadiləsini müəyyən edir. Hər ikisi təhlükəsizlik assosiasiyalarını idarə edir. Heç biri tətbiqin məlumat axını deyil, ona görə də uğurlu mübadilə yalnız nəzarət kanalının işlədiyini sübut edir, başqa heç nəyi yox. Üzv təmiz qeydiyyatdan keçə, etibarlı açarlar saxlaya və yenə də məlumat siyasəti səhvdirsə trafiki qoruya və ya yönləndirə bilməyə bilər. Hansı mübadilənin hansını daşıdığını bildikdən sonra bu iki nasazlıq tamamilə fərqli görünür.

Standart həmçinin açar yeniləmə mesajlarını qoruyan, üzvlərin trafiki necə qoruduğunu təsvir edən məlumat təhlükəsizliyi assosiasiyalarından ayrı bir açar yeniləmə təhlükəsizlik assosiasiyası da adlandırır.

Diaqramı yox, mübadilələri izləyin

Hər mesajın nə üçün olduğuna baxın. Qeydiyyat nəzarətçiyə hansı üzvün soruşduğunu bildirir və vəziyyət yaradır; açar yeniləməsi üzvlərə siyasətin və ya açarların dəyişdiyini bildirir; sonra qorunan tətbiq trafiki quraşdırılmış məlumat təhlükəsizliyi assosiasiyası ilə üzvlər arasında axır. Nəzarətçinin ünvanı ilk ikisində görünür və üçüncüdə heç görünməyə bilər.

Buna görə fiziki qonşuluğa görə çəkilmiş interfeys diaqramı burada yanıltıcıdır. Nəzarətçinin interfeysi nəzarət mənbəyidir, hər şifrələnmiş paket üçün avtomatik növbəti hop deyil.

Saxlamağa dəyər üç qeyd

Üzvün autentifikasiya olunmuş qeydiyyatını və çata bildiyi nəzarət mənbəyini, sonrakı açar yeniləmələrini çatdıran yolu, həmçinin qorunan tətbiq trafikini daşıyan marşrutları və qoşmaları yazın. Üç qeyd, üç sahib və onlardan hər hansı birində nasazlıq fərqli simptom yaradır. Qeydiyyatdan keçib sonra heç vaxt yeniləmə almayan üzv, hər iki qeyd sizdə olmasa, köhnə siyasətlə qeydiyyatdan keçmiş üzvlə eyni görünür.

Bunları kiminsə yaddaşında deyil, konfiqurasiyanın yanında saxlayın. Üzvlük dəyişiklikləri o qədər seyrəkdir ki, əsaslandırma lazım olana qədər artıq yox olur.

İnterfeys, xidmət qoşması, emal yolu

Xidmət əsaslı şlüzda daha bir fərq var: fiziki əsas ünvan yerli xidmət qoşması ilə eyni şey deyil və trafikin onun IPsec emal yoluna necə çatdığını platformanın tətbiqi müəyyən edir. Bir xidməti fiziki interfeysə köçürmək və ya səhv mesajı xidmət-interfeys qaydasını qeyd etdiyi üçün əlaqəsiz tərcümə əlavə etmək düzəliş libasında bir təxmindir.

Xidmət qoşmasının trafiki necə qəbul etdiyi barədə platformanın öz sənədlərini oxuyun. Protokol standart olsa da, mexanizm satıcıya xasdır.

Standartlaşdırılmış protokol mesajları da satıcılararası uyğunluq yaratmır. İki tətbiqin birgə işləyəcəyini güman etməzdən əvvəl tələb olunan funksiyaları, siyasət və assosiasiya atributlarını, autentifikasiya metodunu və dəqiq platforma və buraxılışı müqayisə edin.

Nəzarətin əlçatanlığı və məlumat yönləndirməsi ayrı yoxlamalardır

Nəzarətçinin əlçatanlığını adi işləmə, üzvlük dəyişiklikləri və açar yeniləmələri üçün planlaşdırın. Artıq quraşdırılmış vəziyyətdə uğurlu olan tətbiq mübadiləsi növbəti qeydiyyatın və ya açar yeniləməsinin üzvə çata biləcəyini sübut etmir və boşluq adətən saatlar sonra yeni üzvləri qəbul etməyi dayandıran tunel kimi üzə çıxır. Yalnız işləyən sessiyanı deyil, təzə qeydiyyatı sınaqdan keçirin.

Sonra yönləndirməni ayrıca, nəzarətçini kənarda saxlayaraq sınaqdan keçirin. İki yoxlama, iki nəticə və hansı yarısının xarab olduğu barədə daha qısa mübahisə.